JWT Dekoderi

JWT’nin Anatomisi

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaWNlIiwiaWF0IjoxNjAwMDAwMDAwfQ
.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Her segment, standart Base64 yerine Base64URL formatında kodlanmıştır. Başlık {"alg":"HS256","typ":"JWT"} gibi bir JSON verisidir; yük {"sub":"1234567890","name":"Alice","iat":1600000000} gibi bir JSON verisidir; imza ise header.payload için kullanılan HMAC veya RSA imzasıdır.

Standart Talepler (RFC 7519)

Desteklenen Algoritmalar

alg: none tuzağı

İlk JWT kütüphaneleri "alg": "none" tokenlerine izin veriyor ve bunları olduğu gibi geçerli kabul ediyordu. Her zaman şunları yapın:

• Uygulamanızın kabul ettiği algoritmaları beyaz listeye alın.
• alg: none’ı koşulsuz olarak reddedin.
• Doğrulama kodunuz RS256 beklerken alg: HS256’yı reddedin (“algoritma karıştırma” saldırısı).

JWT Ne Değildir

• Şifreli değildir. Başlık ve yük base64 ile kodlanmıştır ve bu kod kolayca çözülebilir. Gizli bilgileri JWE ile sarmalamadan bir JWT’ye asla koymayın.
• Varsayılan olarak iptal edilemez. Bir JWT verildikten sonra exp zamanına kadar geçerlidir. İptal için bir kara liste ya da kısa süreli geçerlilik artı yenileme tokenleri gerekir.
• Her kullanım durumunda oturum çerezinin yerini tutmaz. Sunucu tarafında saklanan opak tokenler çoğu zaman daha basit ve daha güvenlidir.

Yaygın Hatalar

• Başlığa güvenmek. kid ve alg değerleri tokenin kendisinden gelir. Ele geçirilmiş bir sunucu bunları keyfî olarak ayarlayabilir; her zaman sabit bir listeye karşı doğrulayın.
• nbf ve iat sapmasını yok saymak. Saat kayması nedeniyle iat > now durumu oluşabilir. Küçük bir tolerans bırakın (30–60 saniye).
• JWT’lerin tamamını günlüğe yazmak. Yük çoğunlukla kullanıcı kimlikleri, e-posta adresleri ve izinler içerir, bunlar stdout’a düşmemesi gereken PII verileridir.
• Zayıf bir gizli anahtarla HS256 kullanmak. 16 karakterlik bir gizli anahtar dakikalar içinde kaba kuvvetle kırılabilir. En az 256 bit rastgele entropi kullanın.